L'essentiel
La publicité ciblée est confirmée comme un canal de diffusion opérationnel pour les logiciels espions zero-click. Le rapport de Citizen Lab du 15 octobre 2026 montre comment la plateforme Controlium de Discover-Tech a poussé le logiciel espion Candiru vers au moins 45 appareils d'Al Jazeera par le biais d'enchères publicitaires ordinaires. Si vos applications mobiles ou vos sites affichent des publicités tierces, ce chemin de code entre désormais dans votre modèle de menaces.
Qu'a découvert Citizen Lab ?
Citizen Lab, le laboratoire de recherche sur les droits numériques de l'Université de Toronto, affirme détenir la première preuve technique publique qu'un logiciel espion mercenaire est diffusé par de la publicité en ligne ciblée. Ses chercheurs ont relié l'infection d'au moins 45 ordinateurs Windows de la chaîne Al Jazeera en 2024 et 2025 à Candiru, éditeur israélien de logiciels espions, et remonté la diffusion jusqu'à des publicités achetées via Controlium, une plateforme de ciblage vendue par la société israélienne Discover-Tech.
L'enquête a été facilitée par les propres erreurs de sécurité de Discover-Tech. Selon le rapport, Controlium faisait confiance à des données utilisateur non signées au lieu de vérifier ses jetons de connexion, et un point d'accès sans authentification exposait environ quatre mois de journaux de connexion. Ces journaux ont permis de relier des comptes de la plateforme à des employés de Candiru et à un second éditeur, Bindecy. « On parlait beaucoup de la possibilité d'utiliser la publicité en ligne pour identifier et pirater des cibles avec précision ; nous en avons maintenant la preuve technique », a déclaré le chercheur Bill Marczak à TechCrunch.
Comment une publicité devient-elle un exploit ?
L'attaque s'appuie sur le fonctionnement normal des enchères en temps réel (RTB). Lorsqu'une application ou une page web dispose d'un emplacement publicitaire, une requête d'enchère part avec des identifiants comme l'identifiant publicitaire mobile, des identifiants de cookies et l'adresse IP de l'appareil. Controlium permettait à ses clients de téléverser les identifiants de cibles choisies et de n'enchérir que lorsque ces appareils apparaissaient.
La publicité gagnante contenait un petit script qui contactait un serveur de Discover-Tech. Ce serveur vérifiait de nouveau l'identifiant publicitaire et l'adresse IP et ne renvoyait rien à personne, sauf à la cible. À celle-ci, il renvoyait du JavaScript capable de charger un exploit de navigateur et de livrer l'appareil à l'opérateur du logiciel espion. Rien ne se voit à l'écran, et pour un outil classique de contrôle qualité publicitaire la création semble propre, puisque la partie malveillante n'est servie qu'à un seul appareil.
Jusqu'où les publicités sont-elles allées ?
Citizen Lab a analysé près de 4 milliards d'enregistrements d'enchères de la plateforme d'achat de Discover-Tech entre mars et juin 2026. Ses publicités ont remporté environ 442 millions d'impressions et sont apparues dans 75 373 applications mobiles et sur 120 768 sites dans 161 pays, pour un budget d'environ 109 000 dollars et zéro conversion enregistrée – signe évident que ces campagnes ne visaient pas à vendre quoi que ce soit.
Des impressions ont aussi atterri sur des réseaux sensibles : ceux de l'OTAN et de l'ONU, des institutions de l'UE, des réseaux gouvernementaux et de défense de plusieurs pays européens et de l'Australie, et, selon Confiant, du département américain de la Défense. Toutes les impressions n'étaient pas des attaques, mais chacune a placé le mécanisme de diffusion face à un appareil de ces réseaux.
Comment le secteur publicitaire a-t-il réagi ?
Discover-Tech figurait depuis 2020 sur les listes de fournisseurs certifiés de Google et d'IAB Europe. Après la communication des résultats, Google a mis fin à l'accès de la société à ses places de marché publicitaires et IAB Europe l'a retirée de sa liste mondiale de fournisseurs ; Beeswax l'a exclue et Vungle (Liftoff) a suspendu son accès le temps d'un examen. Discover-Tech, Candiru et Bindecy n'ont pas répondu aux sollicitations de Citizen Lab ni des journalistes.
Le directeur technique de Confiant, Jerome Dangu, a résumé la faille : le secteur s'est optimisé contre les cybercriminels, pas contre la surveillance. Les filtres antifraude traquent le malvertising de masse ; une campagne qui ne livre sa charge qu'à un seul appareil est précisément conçue pour rester sous ce seuil.
Ce que cela change pour les équipes logicielles aux États-Unis et dans l'UE
Pour la plupart des entreprises, le risque direct de logiciel espion reste faible : les outils de la classe de Candiru visent journalistes, responsables publics et collaborateurs à forte valeur. La vraie leçon est architecturale. Chaque SDK publicitaire d'une application et chaque balise publicitaire d'un site exécutent du code choisi au moment de l'enchère par des acteurs avec lesquels vous n'avez jamais contracté. C'est un problème de chaîne d'approvisionnement logicielle, à traiter comme tel : un inventaire connu des partenaires publicitaires, un rendu des publicités isolé et des limites à ce que le code publicitaire peut atteindre.
Il y a aussi un enjeu de vie privée. L'attaque fonctionne parce que les requêtes d'enchère diffusent massivement des identifiants d'appareil stables et des adresses IP. Dans l'UE, où régulateurs et tribunaux ont déjà examiné les enchères en temps réel au regard du RGPD, AdFection devrait raviver les questions sur les identifiants que les applications injectent dans le flux d'enchères et sur la base de consentement retenue. Côté entreprise, les téléphones et ordinateurs des dirigeants, des équipes juridiques et sécurité et des personnes en contact avec l'administration sont le premier périmètre à réduire.
Quelles conséquences pour les entreprises françaises ?
En France, le sujet touche un terrain que la CNIL surveille de près. Ses lignes directrices sur les cookies et autres traceurs exigent un consentement préalable pour la plupart des traceurs publicitaires, y compris dans les applications mobiles, et elle a déjà lourdement sanctionné des acteurs de la publicité ciblée – Criteo a ainsi écopé de 40 millions d'euros d'amende en 2023, notamment faute de pouvoir prouver le consentement des personnes. AdFection ajoute un argument de sécurité à cet argument juridique : vérifiez techniquement que l'identifiant publicitaire ne part vraiment dans le flux d'enchères qu'après consentement, et que votre CMP ne laisse pas passer de traceurs par défaut.
Pour les éditeurs de presse et les applications gratuites qui vivent de la publicité programmatique, la leçon est inconfortable : la présence d'un prestataire sur une liste certifiée ne remplace pas votre propre audit des partenaires. Les administrations, collectivités et opérateurs d'importance vitale dont les agents utilisent des téléphones professionnels ont intérêt à désactiver ou réinitialiser les identifiants publicitaires via leur MDM et à bloquer les domaines publicitaires pour les profils les plus exposés. Les recommandations de l'ANSSI sur la sécurisation des terminaux mobiles constituent une bonne base pour ce durcissement.
À faire cette semaine
- Inventorier le code publicitaire. Recensez chaque SDK publicitaire, adaptateur de médiation et balise publicitaire de vos applications et sites, avec les places de marché et DSP qu'ils contactent.
- Isoler les emplacements publicitaires. Affichez les publicités web dans des iframes sandbox avec une Content Security Policy stricte ; dans les applications, séparez les vues publicitaires des web views authentifiées et des données sensibles.
- Réduire les identifiants. N'injectez identifiants publicitaires, localisation précise ou autres identifiants stables dans le flux d'enchères que si la finalité métier et la base de consentement sont claires.
- Durcir les terminaux professionnels. Via le MDM, désactivez ou réinitialisez les identifiants publicitaires mobiles, bloquez les domaines publicitaires et de pistage pour les utilisateurs à risque et maintenez navigateurs et systèmes à jour.
- Revoir les partenaires publicitaires. Supprimez les éventuels points d'accès liés à Discover-Tech et intégrez vos partenaires publicitaires à votre gestion des risques tiers plutôt que de vous fier aux listes de certification.
Questions fréquentes
Qu'est-ce qu'AdFection ?
AdFection est le nom donné par Citizen Lab à une technique de diffusion de logiciel espion par la publicité en ligne ciblée. Une publicité apparemment normale contient un petit script qui transmet l'identifiant publicitaire et l'adresse IP de l'appareil à un serveur ; si l'appareil correspond à une cible choisie, le serveur renvoie du JavaScript capable de charger un exploit de navigateur. La victime n'a rien à cliquer.
Qui était derrière la campagne ?
Selon le rapport de Citizen Lab du 15 octobre 2026, les publicités ont été achetées via Controlium, une plateforme exploitée par la société israélienne Discover-Tech. Citizen Lab a relié avec un niveau de confiance élevé au moins 45 appareils d'Al Jazeera visés en 2024 et 2025 au logiciel espion Candiru, et a également associé la plateforme à l'éditeur Bindecy. Les sociétés n'ont pas répondu aux journalistes.
Quelle a été l'ampleur de la diffusion ?
Citizen Lab a analysé près de 4 milliards d'enregistrements d'enchères entre mars et juin 2026. Les publicités de Discover-Tech ont été affichées dans 75 373 applications mobiles et sur 120 768 sites dans 161 pays, y compris sur des réseaux gouvernementaux et de défense en Europe, aux États-Unis et en Australie.
Qu'ont fait les plateformes publicitaires ?
Google a mis fin à l'accès de Discover-Tech à ses places de marché publicitaires et IAB Europe l'a retirée de sa liste de fournisseurs après la communication des travaux. D'autres sociétés ad tech citées dans le rapport l'ont exclue, suspendue ou n'avaient pas répondu à la date de publication.
Que doivent faire les entreprises françaises ?
Inventoriez vos SDK et balises publicitaires, isolez les emplacements publicitaires et vérifiez techniquement que les identifiants publicitaires ne partent qu'après un consentement conforme aux lignes directrices de la CNIL. Sur les téléphones professionnels, désactivez les identifiants publicitaires via le MDM et bloquez les domaines publicitaires pour les collaborateurs exposés. Traitez vos partenaires publicitaires comme n'importe quel code tiers de votre chaîne d'approvisionnement.
Sources
Citizen Lab — Exposing AdFection: How Discover-Tech Turned Targeted Ads Into a Pipeline for Zero-Click Mercenary Spyware (October 15, 2026)
TechCrunch — Citizen Lab says governments are abusing online ads to hack people with ‘zero-click’ spyware (October 15, 2026)
CyberScoop — AdFection: How mercenary spyware invades victims’ devices through targeted advertising (October 15, 2026)
The Record — Zero-click spyware infecting devices through online ads, researchers say (October 15, 2026)